漏洞公告
漏洞信息
VMware vCenter是一种用于集中管理和监控虚拟化环境的软件解决方案。它是由VMware开发的，旨在简化虚拟化基础架构的管理和操作。vCenter提供了一个集中的管理平台，用于管理和监控VMware vSphere环境中的虚拟机、主机、存储和网络资源。它允许管理员通过一个统一的界面来执行各种任务，如虚拟机的创建、配置和迁移，资源的调度和监控，以及故障恢复和备份等。
1、 VMware vCenter Server存在堆溢出漏洞(CVE-2023-20892)
| 漏洞标题 |
VMware vCenter Server存在堆溢出漏洞 |
||
| 应急响应等级 | 3级 | ||
| 漏洞类型 | 堆溢出 | ||
| 影响目标 | 影响厂商 |
VMware |
|
| 影响产品 |
VMware vCenter Server |
||
| 影响版本 |
VMware vCenter Server：8.0、7.0 |
||
| 安全版本 |
VMware vCenter Server：8.0 U1b、7.0 U3m |
||
| 漏洞编号 | CVE编号 |
CVE-2023-20892 |
|
| CNVD编号 | 未分配 | ||
| CNNVD编号 | 未分配 | ||
| 安恒CERT编号 |
DM-202211-000188 |
||
| 漏洞标签 | 应用程序、集中管控平台 | ||
| CVSS3.1评分 |
8.1 |
危害等级 | 高危 |
| CVSS向量 | 访问途径（AV） | 网络 | |
| 攻击复杂度（AC） | 高 | ||
| 所需权限（PR） | 无需任何权限 | ||
| 用户交互（UI） | 不需要用户交互 | ||
| 影响范围（S） | 不变 | ||
| 机密性影响（C） | 高 | ||
| 完整性影响（I） | 高 | ||
| 可用性影响（A） | 高 | ||
| 威胁状态 | Poc情况 | 未发现 | |
| Exp情况 | 未发现 | ||
| 在野利用 | 未发现 | ||
| 研究情况 | 分析中 | ||
| 舆情热度 | 公众号 | 低 | |
| 低 | |||
| 微博 | 低 | ||
2、VMware vCenter Server存在释放后重用漏洞(CVE-2023-20893)
| 漏洞标题 |
VMware vCenter Server存在释放后重用漏洞 |
||
| 应急响应等级 | 3级 | ||
| 漏洞类型 | 释放后重用 | ||
| 影响目标 | 影响厂商 |
VMware |
|
| 影响产品 |
VMware vCenter Server |
||
| 影响版本 |
VMware vCenter Server：8.0、7.0 |
||
| 安全版本 |
VMware vCenter Server：8.0 U1b、7.0 U3m |
||
| 漏洞编号 | CVE编号 |
CVE-2023-20893 |
|
| CNVD编号 | 未分配 | ||
| CNNVD编号 | 未分配 | ||
| 安恒CERT编号 |
DM-202211-000189 |
||
| 漏洞标签 | 应用程序、集中管控平台 | ||
| CVSS3.1评分 |
8.1 |
危害等级 | 高危 |
| CVSS向量 | 访问途径（AV） | 网络 | |
| 攻击复杂度（AC） | 高 | ||
| 所需权限（PR） | 无需任何权限 | ||
| 用户交互（UI） | 不需要用户交互 | ||
| 影响范围（S） | 不变 | ||
| 机密性影响（C） | 高 | ||
| 完整性影响（I） | 高 | ||
| 可用性影响（A） | 高 | ||
| 威胁状态 | Poc情况 | 未发现 | |
| Exp情况 | 未发现 | ||
| 在野利用 | 未发现 | ||
| 研究情况 | 分析中 | ||
| 舆情热度 | 公众号 | 低 | |
| 低 | |||
| 微博 | 低 | ||
3、 VMware vCenter Server存在越界写入漏洞 (CVE-2023-20894)
| 漏洞标题 |
VMware vCenter Server存在越界写入漏洞 |
||
| 应急响应等级 | 3级 | ||
| 漏洞类型 | 越界写入 | ||
| 影响目标 | 影响厂商 |
VMware |
|
| 影响产品 |
VMware vCenter Server |
||
| 影响版本 |
VMware vCenter Server：8.0、7.0 |
||
| 安全版本 |
VMware vCenter Server：8.0 U1b、7.0 U3m |
||
| 漏洞编号 | CVE编号 |
CVE-2023-20894 |
|
| CNVD编号 | 未分配 | ||
| CNNVD编号 | 未分配 | ||
| 安恒CERT编号 |
DM-202211-000190 |
||
| 漏洞标签 | 应用程序、集中管控平台 | ||
| CVSS3.1评分 |
8.1 |
危害等级 | 高危 |
| CVSS向量 | 访问途径（AV） | 网络 | |
| 攻击复杂度（AC） | 高 | ||
| 所需权限（PR） | 无需任何权限 | ||
| 用户交互（UI） | 不需要用户交互 | ||
| 影响范围（S） | 不变 | ||
| 机密性影响（C） | 高 | ||
| 完整性影响（I） | 高 | ||
| 可用性影响（A） | 高 | ||
| 威胁状态 | Poc情况 | 未发现 | |
| Exp情况 | 未发现 | ||
| 在野利用 | 未发现 | ||
| 研究情况 | 分析中 | ||
| 舆情热度 | 公众号 | 低 | |
| 低 | |||
| 微博 | 低 | ||
4、 VMware vCenter Server存在越界读取漏洞 (CVE-2023-20895)
| 漏洞标题 |
VMware vCenter Server存在越界读取漏洞 |
||
| 应急响应等级 | 3级 | ||
| 漏洞类型 | 越界读取 | ||
| 影响目标 | 影响厂商 |
VMware |
|
| 影响产品 |
VMware vCenter Server |
||
| 影响版本 |
VMware vCenter Server：8.0、7.0 |
||
| 安全版本 |
VMware vCenter Server：8.0 U1b、7.0 U3m |
||
| 漏洞编号 | CVE编号 |
CVE-2023-20895 |
|
| CNVD编号 | 未分配 | ||
| CNNVD编号 | 未分配 | ||
| 安恒CERT编号 |
DM-202211-000191 |
||
| 漏洞标签 | 应用程序、集中管控平台 | ||
| CVSS3.1评分 |
8.1 |
危害等级 | 高危 |
| CVSS向量 | 访问途径（AV） | 网络 | |
| 攻击复杂度（AC） | 高 | ||
| 所需权限（PR） | 无需任何权限 | ||
| 用户交互（UI） | 不需要用户交互 | ||
| 影响范围（S） | 不变 | ||
| 机密性影响（C） | 高 | ||
| 完整性影响（I） | 高 | ||
| 可用性影响（A） | 高 | ||
| 威胁状态 | Poc情况 | 未发现 | |
| Exp情况 | 未发现 | ||
| 在野利用 | 未发现 | ||
| 研究情况 | 分析中 | ||
| 舆情热度 | 公众号 | 低 | |
| 低 | |||
| 微博 | 低 | ||
该产品主要使用客户行业分布为广泛，基于CVSS3.1评分该漏洞无需前置条件，漏洞危害性高，建议客户尽快做好自查及防护。
修复方案
官方修复方案：
VMware已经发布了相关漏洞的安全更新，修复了此漏洞。建议用户将产品立即升级到安全版本，以保护系统的安全性：
1、https://docs.vmware.com/en/VMware-vSphere/8.0/rn/vsphere-vcenter-server-80u1b-release-notes/index.html
2、https://docs.vmware.com/en/VMware-vSphere/7.0/rn/vsphere-vcenter-server-70u3m-release-notes/index.html
3、https://kb.vmware.com/s/article/88287
参考资料
1、https://www.vmware.com/security/advisories/VMSA-2023-0014.html
2、https://docs.vmware.com/en/VMware-vSphere/8.0/rn/vsphere-vcenter-server-80u1b-release-notes/index.html
3、https://docs.vmware.com/en/VMware-vSphere/7.0/rn/vsphere-vcenter-server-70u3m-release-notes/index.html
4、https://kb.vmware.com/s/article/88287
技术支持
如有漏洞相关需求支持请联系400-6777-677获取相关能力支撑。
安恒信息CERT
2023年6月
原文始发于微信公众号（安恒信息CERT）：【风险通告】VMware vCenter多个高危漏洞风险提示
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论